Ataque Norte-Coreano Utiliza Falsas Entrevistas de Emprego Para Roubar Credenciais de Desenvolvedores

22 de julho de 2026

Resumo

O Elastic Security Labs desvendou a campanha REF9403, atribuída a atores norte-coreanos, que explora ofertas de emprego falsas em canais de Slack de desenvolvedores. Após atrair as vítimas para mensagens diretas, os atacantes entregam repositórios de 'desafios de codificação' trojanizados. Estes pacotes ocultam partes de um payload Base64 em imagens SVG, utilizando esteganografia, e as executam via `eval()` a cada inicialização do servidor. O payload de quatro estágios, similar ao OTTERCOOKIE, atua como ladrão de credenciais de navegador, carteiras de criptomoedas, arquivos, e um RAT baseado em Socket.IO, além de roubar dados da área de transferência. A exfiltração ocorre para domínios como `rightwidth[.]dev` e IPs `195.26.248[.]212`, `188.40.64[.]61`. Na detecção, nenhum antivírus reconheceu a ameaça. Recomenda-se tratar testes de código não solicitados como hostis, executá-los em VMs isoladas e bloquear os domínios C2 listados.

Fontes

elastic.cofonte original

Avalie este artigo:

Categoria: CEVIU Segurança da Informação
Publicado: 22 de julho de 2026
Editoria: CEVIU Segurança da Informação

Quer receber mais sobre CEVIU Segurança da Informação?